＜微服务安全架构与实践＞学习笔记

最新推荐文章于 2023-04-22 16:26:11 发布
最新推荐文章于 2023-04-22 16:26:11 发布
阅读量823 收藏
点赞数
分类专栏： 微服务学习笔记 文章标签： oauth2
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/weixin_42692345/article/details/115312003
版权
本文探讨了微服务环境下安全架构的关键问题，包括开放系统间的授权管理、OAuth2的定义、流程及选型，重点讲解了OAuth2.0的授权码、简化模式、密码模式和客户端模式，并提供了Spring Security OAuth2的实现示例。此外，文章还介绍了JWT在微服务中的应用和下一代安全架构方案的选择。
摘要由CSDN通过智能技术生成

<微服务安全架构与实践@杨波>学习笔记

微服务安全要解决什么问题

1.开放系统间授权

在这里插入图片描述
不适用于开放系统间

在这里插入图片描述
developer key 可能泄露
在这里插入图片描述
与OAuth2比较接近, 需要考虑如何管理, 颁发令牌

2.现代微服务安全

在这里插入图片描述

在这里插入图片描述

  1. 服务粒度很小, 服务和服务之间怎么去认证和鉴权
  2. 应用的形态多种多样, 不只是浏览器, 还有单页应用, 原生APP, 服务器端APP

独立的服务AuthServer, 并且把认证和授权都做成一个Service … 基于Token的授权

3.总结

在这里插入图片描述

OAuth2的定义和原理

在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

令牌: AccessToken : 由授权服务器颁发

在这里插入图片描述

在这里插入图片描述

OAuth2的正式定义

令牌 类比 仆从钥匙(Valet Key)

给应用授权有限的访问权限, 让应用能够代表用户去访问用户的数据

OAuth 2.0 优势

在这里插入图片描述

不足

在这里插入图片描述

主要角色

在这里插入图片描述
在这里插入图片描述

OAuth2 术语

在这里插入图片描述

令牌类型

在这里插入图片描述

误解

在这里插入图片描述

总结

在这里插入图片描述

OAuth2 的流程和选型

典型的OAuth Flow

1. 授权码模式

在这里插入图片描述

2. 简化模式

在这里插入图片描述

3. 密码模式

在这里插入图片描述
用户名和密码尽量不要泄露?
Client 不是第三方的, 是自己的, 风险不是特别大

4. 客户端模式

在这里插入图片描述

刷新令牌流程

在这里插入图片描述

OAuth Flow 选型

授权流程渠道

在这里插入图片描述
没有资源服务器参与的: 前端渠道

没有资源拥有者参与的: 后端渠道

客户应用类型

在这里插入图片描述

公开应用: 客户可以直接接触这些应用, 公开的, 不能存储重要的客户凭证信息 (客户密码), 可能会泄露
私密应用: client 在后端, 可以存储客户的凭证 (密码信息)

四种OAuth2授权类型(Flows)

在这里插入图片描述

授权类型选型参考

在这里插入图片描述

OAuth2 授权服务器和资源服务器案例实操

授权服务器的组成

在这里插入图片描述

Spring Security OAuth2 架构图

在这里插入图片描述

code1. 授权码模式授权服务器

code

引入依赖
		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-security</artifactId>
		</dependency>
		<dependency>
			<groupId>org.springframework.boot</groupId>
			<artifactId>spring-boot-starter-web</artifactId>
		</dependency>

		<!-- for OAuth 2.0 -->
		<dependency>
			<groupId>org.springframework.security.oauth</groupId>
			<artifactId>spring-security-oauth2</artifactId>
		</dependency>
目录结构

在这里插入图片描述

资源api
@Controller
public class UserController {

	// 资源API
    @RequestMapping("/api/userinfo")
    public ResponseEntity<UserInfo> getUserInfo() {
        // 获取用户信息
        User user = (User) SecurityContextHolder.getContext()
                .getAuthentication().getPrincipal();
        String email = user.getUsername() + "@spring2go.com";

        UserInfo userInfo = new UserInfo();
        userInfo.setName(user.getUsername());
        userInfo.setEmail(email);

        return ResponseEntity.ok(userInfo);
    }

}
授权服务器配置
@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServer extends AuthorizationServerConfigurerAdapter {

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        // inMemory 授权服务器的相关信息存在内存中, 不适用生产级
        clients.inMemory()
            // clientapp 客户名称, 112233 客户密码 -> 客户凭证, 一般通过授权服务器注册, 此demo简化
            .withClient("clientapp")
            .secret("112233")
            // 重定向url, 拿到授权码后跳转回客户端
            .redirectUris("http://localhost:9001/callback")
            // 指定授权码模式
            .authorizedGrantTypes("authorization_code")
            // 细分权限
            .scopes("read_userinfo", "read_contacts");
    }

}
资源服务器配置
@Configuration
// 启动资源服务器
@EnableResourceServer
public class OAuth2ResourceServer extends ResourceServerConfigurerAdapter {

    @Override
    public void configure(HttpSecurity http) throws Exception {
        http.authorizeRequests()
            .anyRequest()
            .authenticated()
            .and()
            .requestMatchers()
            // 对哪些资源 (api端点) 下面的调用 进行 OAuth2的认证
            // UserController的资源必须带着token过来, 如果不带token or token失效 就会被拒绝
            .antMatchers("/api/**");
    }

}

lab

1. 发送请求获取授权码
http://localhost:8080/oauth/authorize?
client_id=clientapp
&redirect_uri=http://localhost:9001/callback // 重定向的URI
&response_type=code // 表示通过授权码的方式走流程 
&scope=read_userinfo // 只读userinfo 

跳转到该url
http://localhost:9001/callback?code=4bupW0 // 拿到授权码
2. 获取访问令牌

使用 postman 模拟 post请求 到 授权码端点

http://localhost:8080/oauth/token

http://localhost:8080/oauth/token?
code=y8h8sP // 第一步拿到的授权码
&grant_type=authorization_code
&redirect_uri=http://localhost:9001/callback
&scope =read_userinfo

在这里插入图片描述

在这里插入图片描述
在这里插入图片描述

3. 访问资源

在这里插入图片描述

code2. 简化模式授权服务器

code

除了授权服务器配置, 其余都相同

授权服务器配置
@Configuration
@EnableAuthorizationServer
public class  OAuth2AuthorizationServer extends AuthorizationServerConfigurerAdapter {

    @Override
    public void configure(ClientDetailsServiceConfigurer clients)
            throws Exception {
        clients.inMemory()
            .withClient("clientapp")
            .secret("112233")
            .redirectUris("http://localhost:9001/callback")
            // 简化模式
            .authorizedGrantTypes("implicit")
            // 访问令牌的有效期, 120 seconds
            .accessTokenValiditySeconds(120)
            .scopes("read_userinfo", "read_contacts");
    }
}

lab

1.获取访问令牌
http://localhost:8080/oauth/authorize?
client_id=clientapp
&redirect_uri=http://localhost:9001/callback
&response_type=token // 与授权码模式(code)不同
&scope=read_userinfo
&state=abc // 可选, 安全起见生产环境启用

返回
http://localhost:9001/callback#
access_token=c15889f3-5a3f-4346-ac42-1afe77ec5414 // 在url中返回了token
&token_type=bearer
&state=abc
&expires_in=119
2.调用API访问资源

在这里插入图片描述

code3. 密码模式授权服务器

code

除了授权服务器配置, 其余都相同

// 授权服务器配置
@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServer extends AuthorizationServerConfigurerAdapter {

	// 用户认证, 配置在授权服务器端点上 AuthorizationServerEndpoints
    // 因为用户名-密码模式, 直接把用户名密码传递给授权服务器, 
    // 授权服务器拿到用户名密码需要通过 SpringSecurity 的 AuthenticationManager 进行认证
    @Autowired
    private AuthenticationManager authenticationManager;

    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints)
            throws Exception {
        endpoints.authenticationManager(authenticationManager);
    }

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        // inMemory模式, 授权服务器的相关信息存在内存中
        clients.inMemory()
            // 用户名, 密码 -> 用户凭证
            .withClient("clientapp")
            .secret("112233")
            // 密码模式
            .authorizedGrantTypes("password")
            // 细分权限
            .scopes("read_userinfo", "read_contacts");
    }
}

lab

1. 获取访问令牌

使用 postman 模拟 post 请求
在这里插入图片描述

在这里插入图片描述

在这里插入图片描述

2. 请求资源服务器

在这里插入图片描述

code4. 客户端模式授权服务器

code

资源api作修改

@Controller
public class UserController {
	// 资源API
    @RequestMapping("/api/userinfo")
    public ResponseEntity<UserInfo> getUserInfo() {
        // 获取用户信息
        User user = (User) SecurityContextHolder.getContext()
                .getAuthentication().getPrincipal();
        String email = user.getUsername() + "@spring2go.com";

        UserInfo userInfo = new UserInfo();
        userInfo.setName(user.getUsername());
        userInfo.setEmail(email);

        return ResponseEntity.ok(userInfo);
    }
}

授权服务器

// 授权服务器配置
@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServer extends AuthorizationServerConfigurerAdapter {

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
            .withClient("clientdevops")
            .secret("789")
            // 客户端模式
            .authorizedGrantTypes("client_credentials")
            // 细分权限
            .scopes("devops");
    }

}

lab

1. 获取访问令牌

在这里插入图片描述

2. 访问资源

在这里插入图片描述

JWT令牌

类型分类

在这里插入图片描述

JWT是一种 自包含令牌
在这里插入图片描述
自解释的token 需要有签名 signature
类似支票
在这里插入图片描述

在这里插入图片描述
对应audience,
JWT 自解释, 自校验特性

code

配置授权服务器
@Configuration
@EnableAuthorizationServer
public class OAuth2AuthorizationServer extends AuthorizationServerConfigurerAdapter {

    /**
     * 用户名密码模式需要启用 spring security 的 AuthenticationManager
     */
    @Autowired
    private AuthenticationManager authenticationManager;

    /**
     * 对JWT进行签名的话需要增加一个秘钥, 在授权服务器也要通过这个秘钥来解签
     *
     * @return
     */
    @Bean
    public JwtAccessTokenConverter accessTokenConverter() {
        JwtAccessTokenConverter converter = new JwtAccessTokenConverter();
        converter.setSigningKey("test-secret");
        return converter;
    }

    /**
     * 生成的token是由JwtTokenStore生成的
     * @return
     */
    @Bean
    public JwtTokenStore jwtTokenStore() {
        return new JwtTokenStore(accessTokenConverter());
    }

    /**
     * 配置授权端点, 支持生成JWT的token, 签名需要用到 accessTokenConverter
     *
     * @param endpoints
     * @throws Exception
     */
    @Override
    public void configure(AuthorizationServerEndpointsConfigurer endpoints) throws Exception {
        endpoints
            .authenticationManager(authenticationManager)
            .tokenStore(jwtTokenStore())
            .accessTokenConverter(accessTokenConverter());
    }

    @Override
    public void configure(ClientDetailsServiceConfigurer clients) throws Exception {
        clients.inMemory()
            // 设置客户凭证
            .withClient("clientapp")
            .secret("112233")
            .scopes("read_userinfo")
            // 授权服务器可以同时支持三种模式
            .authorizedGrantTypes(
                "password",
                "authorization_code",
                "refresh_token");
    }
}
配置资源服务器

在这里插入图片描述

@Configuration
@EnableResourceServer
public class OAuth2ResourceServer extends
    ResourceServerConfigurerAdapter {
    @Override
    public void configure(HttpSecurity http) throws Exception {
        http
            .authorizeRequests()
            .anyRequest().authenticated().and()
            // 对api的访问端点都需要进行校验
            .requestMatchers().antMatchers("/api/**");
    }
}

在application.properties里设置校验的私钥key

server.port=8081

#springboot 自动的去加载相应的jwt处理的代码
#如果请求的是jwt的token, 用该配置去作为解签签名去校验令牌 是否是正确令牌
security.oauth2.resource.jwt.key-value=test-secret

lab

1.获取JWT令牌

在这里插入图片描述
在这里插入图片描述
使用 postman 模拟 POST 请求
在这里插入图片描述
获得令牌
在这里插入图片描述

2.请求资源服务器

在这里插入图片描述

OpenID Connect 简介

OAuth2 – 授权协议

在这里插入图片描述

在OAuth2上增加了一个身份认证层

下一代微服务安全架构

方案一

在这里插入图片描述
③ 做一个access token 和 JWT token 的一个交换
因为 access token 是透明的, 无意义的
而且不想让后面的微服务分别校验, 让网关集中校验

每个微服务可以根据自己的情况增加OAuthFilter
因为JWT token是自校验的, 是无状态的校验方式, 不需要到授权服务器去集中校验
可以通过OAuthFilter去校验JWT token并获取相应的用户信息

方案二

在这里插入图片描述

授权服务器和API网关之间有一个秘钥

好处: 网关不需要到授权服务器上去集中校验, 可以本地自校验
坏处: 缺少了集中校验环节, 没有集中的吊销点, 只能等JWT自动过期
没办法一次性把用户剔除, 建议JWT自动过期时间设置得短一点

方案三

在这里插入图片描述
网关做 access token 和 JWT 转换时使用 redis 缓存, 第一种方案的优化

监控指标

在这里插入图片描述
高可用的, 多台的, 水平扩容

开源产品

在这里插入图片描述

提供SaaS服务

在这里插入图片描述

王胖泽
关注
  • 0
    点赞
  • 踩
  • 0
    收藏
    觉得还不错? 一键收藏
  • 0
    评论
专栏目录
微服务架构与实践
Enweitech Software Works
09-29 5633
摘要：微服务出现的时间不短了，但是为什么现在才这么重视它？互联网转型要转型什么？ 微服务出现的时间不短了，但是为什么现在才这么重视它？互联网转型要转型什么？ 第一，以职能为中心转向以用户为中心。我们过去的信息化更多的是依照部门职能，有什么样的工作内容，有什么样的流程，然后去做系统。下一步的信息化更多的是以用户为中心。为什么是以用户为中心？我们要看用户到底需要什么，在什么样的场景下需
现代微服务安全
Leon_Jinhai_Sun的博客
08-10 148
除了开放系统授权，OAuth2还可以应用于现代微服务安全 传统单块应用的安全 现代微服务安全 现代微服务中系统微服务化以及应用的形态和设备类型增多，不能用传统的登录方式 核心的技术不是用户名和密码，而是token，由AuthServer颁发token，用户使用token进行登录 典型的OAuth2应用 总结 OAuth2最简向导 川崎高彦：OAuth2领域专家，开发了一个OAuth2 sass服务，OAuth2as Service，并且做成了一个公司 再融资的过程中为了向.
《微服务架构与实践》
猴子哥哥的博客
05-16 1037
一、基础篇 1、对于功能集中、代码中心化、一个发布包、部署后运行在同一进程的应用程序称之为单块架构应用。   2、单块架构的优势：1）易于开发；2）易于测试；3）易于部署；4）易于水平伸缩   3、单块架构面临的挑战：1）维护成本增加；2）持续交付周期长；3）新人培养周期长；4）技术选型成本高；5）可扩展性差（垂直扩展、水平扩展）；6）构建全功能团队难   4、微服务架构是一种架构模
微服务架构设计与实践
baidu_38876334的博客
04-22 813
在设计和实现微服务架构时，需要遵循一些原则，如单一职责原则、边界上下文分离原则、自治原则、服务发现原则、服务容错原则和服务监控原则。在实践微服务架构时，需要进行服务拆分、服务设计、服务部署、服务监控和服务测试。阿里巴巴也是一个使用微服务架构的企业，它将所有的业务逻辑划分为多个微服务，如商品管理、订单管理、支付管理等。因此，在测试阶段，应该对每个服务进行单独的测试，并进行集成测试和端到端测试，确保服务之间的交互和通信没有问题。系统由多个服务组成，需要对每个服务进行单独的测试，还需要对服务之间的交互进行测试。
系统架构师学习笔记.docx
09-28
系统架构师的学习笔记着重强调了从初级程序员逐步晋升为架构师所需掌握的知识和技能。 首先，作为Java开发工程师，深入理解JDK中的各个包、类和接口是基础。这涉及到对Java核心技术的全面掌握，包括类库的使用场景...
日常学习笔记，Java开发、数据库、微服务
最新发布
01-25
本文将深入探讨数据库的基本概念，Java与数据库的交互，以及微服务架构下数据库的管理。 首先，数据库是一个有组织地存储数据的系统，它允许高效地查询、更新和管理数据。常见的关系型数据库如MySQL、Oracle和...
千锋《锋迷商城》项目学习笔记2-分布式与微服务
07-30
本篇笔记将着重讨论分布式系统的概念、微服务架构的特点、分布式与微服务的关联，以及在Java环境下如何实践这一架构。 首先，分布式系统是由多个通过网络连接协同工作的计算机组成的系统，它们可以跨越多个物理位置...
SpringCloud微服务架构笔记-共四部分四个PDF文件
07-04
本套笔记全面覆盖了SpringCloud微服务架构的关键知识点，从理论到实践，帮助读者深入了解并掌握微服务设计原则和SpringCloud的实现方式，对于想要在微服务领域深化学习的Java开发者来说是一份宝贵的资料。
软考高级系统架构师经验复习笔记仅供个人学习使用
05-31
例如，常见的架构模式有分层架构、微服务架构、事件驱动架构等，每种模式都有其适用场景和优缺点。 二、系统设计原则 在设计系统架构时，应遵循一些基本原则，如模块化、抽象、信息隐藏、开放封闭原则等。这些原则...
微服务架构与实践学习笔记
bobshute的专栏
04-09 7221
摘要微服务，持续集成(Jenkins)，构建(Maven,Gradle)，部署(Docker)，持续交付(Jenkins)，日志聚合(ELK)，运维(监控警告Zabbix) 本内容为学习<<微服务架构与实践>>(王磊 著) 的读书笔记,为自我学习整理使用,如果喜欢书本内容,请到如下地址购买: https://item.jd.com/11826753.html 1. 单块架构及其面临的挑战1.1 三
微服务安全架构设计图
wr844322684的博客
06-22 296
微服务安全架构设计 个人认为是比较好的了，欢迎交流讨论~
【微服务】微服务安全 - 如何保护您的微服务基础架构？
全网:架构师研究会
04-20 617
在当今行业使用各种软件架构和应用程序的市场中，几乎不可能感觉到您的数据是完全安全的。因此，在使用微服务架构构建应用程序时，安全问题变得更加重要，因为各个服务相互之间以及客户端之间进行通信。因此，在这篇关于微服务安全的文章中，我将按以下顺序讨论您可以实施的各种方法来保护您的微服务。什么是微服务？微服务面临的问题保护微服务的最佳实践什么是微服务？微服务，又名微服务架构，是一种...
整理7个关于微服务安全的最佳实践
DevOps持续集成的博客
04-05 469
Part1微服务安全的7个最佳实践微服务彻底改变了应用程序的开发方式。过去，应用程序通常是作为整体应用程序开发，构建和提供的，其中所有应用程序的组件和功能都在一个实例中。结果，组织需要重新...
服务器架构安全性问题
weixin_33989780的博客
12-20 120
2019独角兽企业重金招聘Python工程师标准>>> ...
《数据治理与数据安全》读书笔记（上）
weixin_50905386的博客
07-08 760
此文是人民邮电出版社出版的《数据治理与安全》一书的读后笔记。 前言 首先，数据治理的定义是什么？书中选取了在《数据治理白皮书》中的定义：数据是资产，通过服务产生价值。数据治理主要是在数据产生价值的过程中，治理团队对其做出的评价、指导、控制。但是作者认为无论是在国内还是国外，在提到数据治理的问题时都基本指代的是企业行为，普遍存在一个政府和个人角色缺失的问题。但是实际上政府在数据治理中能够发挥更主动的作用。因为政府可以做许多企业无法做到的事情，比如说立法，政府也可以推动政务数据开放共享、建立完善的数据权责体系等
下一代微服务安全架构
?.?的专栏
12-20 699
真实环境中方案三用的比较多，redis分担授权服务器压力，前端使用Access Token保证安全，后端使用JWT保证安全，后端也可视情况将JWT简化为userID、userInfo等 生产级部署实践 业务指标监控 登录次数 授权次数 颁发访问令牌/刷新令牌个数 活跃令牌数 令牌校验次数 令牌吊销次数 注册client数 接口调用性能指标 authorize token intro...
SpringCloud微服务安全实战(二)-安全架构演进史
JavaEdge全是干货的技术号
02-02 1100
概念辨析 认证authentication 识别你是谁 授权 authorization 识别你能做什么，有何权限 架构演进 单体架构 认证阶段 访问阶段 微服务架构 Auth Service + Token
SpringSecurity安全框架学习、微服务处理方案
本人拙笔，记录一些开发、面试中的笔记，希望能帮到你。
10-25 562
创建工程案列 创建简单web工程基于Spring boot 测试案列 引入安全框架依赖 <dependency> <groupId>org.springframework.boot</groupId> <artifactId>spring-boot-starter-security</artifactId> </dependency> @RestController @
Spring Cloud学习笔记：系统架构演变与微服务入门
最新版Spring Cloud 学习笔记详细讲解了微服务架构的核心理念、关键技术和实践经验，帮助读者从小白到资深，逐步掌握微服务架构的原理和实践。通过学习这本笔记，读者可以了解到不同系统架构的特点、优缺点，深入...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值